SAP corrige cuatro fallas con puntuación máxima de 10.0 que no exigen iniciar sesión

Tres están en el servidor de aplicaciones NetWeaver y una en Web Dispatcher. Dos permiten ejecutar código y otra deja entrar como cualquier usuario en sistemas con SAML.

SAP publicó el 10 de noviembre de 2026 su parche mensual con cuatro vulnerabilidades calificadas 10.0, el máximo de la escala CVSS, informó The Hacker News. Todas pueden explotarse sin iniciar sesión y sin que nadie haga clic en nada. Tres están en el servidor de aplicaciones SAP NetWeaver y una en Web Dispatcher, el componente que recibe el tráfico web y lo reparte.

Dos fallas, en Web Dispatcher y en el Internet Communication Manager, comparten un mismo error en el manejo de mensajes WebSocket. Onapsis, la firma que las halló, entregó a SAP un exploit que ejecuta comandos del sistema operativo. Como WebSocket viene activado de fábrica, un sistema queda expuesto aunque no lo use. Otra falla, en el proveedor de servicio SAML 2.0, permitiría entrar como cualquier usuario, incluso uno con privilegios. La cuarta, en SAP Gateway, deja que un atacante externo se haga pasar por un servidor del propio sistema.

Onapsis dice que no ha visto ataques que usen estas fallas. También advierte que hay kernels fuera de soporte afectados que quizás no reciban parche y deben actualizarse. SAP pide aplicar las notas de seguridad con prioridad. La firma RedRays recomienda actualizar el kernel y todos los Web Dispatcher en una sola ronda, porque una sola instancia olvidada deja la puerta abierta.

Fuente: The Hacker News: «SAP Patches Four CVSS 10.0 Flaws, Including Two Enabling Remote Code Execution», 10 de noviembre de 2026.